NIS2 / KSC dla gospodarki odpadami

Czy firma z gospodarki odpadami podlega pod KSC — i jako jaki podmiot?

Sektor gospodarowanie odpadami znajduje się w załączniku nr 2 (sektory „ważne”). Z połączenia sektora i wielkości wynika kategoria: średnia lub duża firma w załączniku nr 2 to podmiot ważny. Progi: przedsiębiorstwo co najmniej średnie to od 50 osób lub powyżej 10 mln EUR obrotu albo sumy bilansowej; mikro i małe firmy są co do zasady poza ustawą — z możliwością wskazania podmiotu indywidualną decyzją organu, np. gdy jego zakłócenie miałoby istotny wpływ na bezpieczeństwo publiczne.

O kwalifikacji decyduje faktycznie prowadzona działalność, nie sam kod PKD. W grupach kapitałowych dane przedsiębiorstw partnerskich (25–50%) i powiązanych (powyżej 50%) się sumują — spółka celowa w większej strukturze może podlegać, mimo że sama wygląda na małą. Obowiązki powstają z mocy prawa w dniu spełnienia przesłanek; wpis do wykazu jest deklaratoryjny i może nastąpić z urzędu.

Terminy dla podmiotów spełniających przesłanki 3.04.2026 r.: samoidentyfikacja i wniosek o wpis do 3.10.2026 r., pełne wdrożenie SZBI i pozostałych obowiązków do 3.04.2027 r.

Specyfika obowiązków w gospodarce odpadami

Katalog obowiązków jest wspólny: SZBI proporcjonalny do ryzyka, obsługa i zgłaszanie incydentów, ciągłość działania, łańcuch dostaw, szkolenia i dokumentacja. Podmiot ważny jest nadzorowany reaktywnie — kontrola przychodzi po sygnale, skardze lub incydencie — ale poziom zabezpieczeń powinien być porównywalny z podmiotami kluczowymi; różni się ciśnienie nadzorcze, nie standard. W praktyce branży ciężar przesuwa się na:

• Instalacje i sterowanie jako środowisko OT. Sortownie, instalacje przetwarzania i spalarnie to środowiska produkcyjne i sterowania — ich ochrona musi uwzględniać bezpieczeństwo procesu, a klasyfikacja incydentów obejmuje m.in. zagrożenie zdrowia, życia, środowiska lub produkcji. Playbook „naruszenie OT/produkcji” powinien być w minimalnym zestawie.
• Ciągłość usługi odbioru i przetwarzania. Kopie zapasowe z testami odtworzenia, plany BCP/DRP dla systemów krytycznych (ważenie, ewidencja, logistyka odbiorów, sterowanie instalacją) — z parametrami odtworzenia i właścicielami biznesowymi oraz procedurami ręcznymi na wypadek niedostępności systemów.
• Zegar incydentowy. Incydent poważny: wczesne ostrzeżenie w 24 h, zgłoszenie w 72 h, raport końcowy w 1 miesiąc — od wykrycia w organizacji. Operacje terenowe i zmianowe wymagają ścieżki eskalacji liczonej w godzinach.
• Łańcuch dostaw. Dostawcy systemów ewidencji i ważenia, serwis instalacji, firmy utrzymaniowe — lista, ocena ryzyka i klauzule w umowach (informowanie o incydentach, standardy, prawo audytu). Jeśli świadczysz usługi dla podmiotów objętych ustawą, sam dostaniesz takie klauzule do podpisania.
• Zarząd. Kierownik podmiotu (co do zasady cały zarząd) zatwierdza SZBI, przechodzi coroczne szkolenie i ponosi osobistą odpowiedzialność — również w spółkach komunalnych.

Typowe luki w firmach gospodarki odpadami

• brak inwentaryzacji systemów instalacji i ich zależności — nie wiadomo, co naprawdę zatrzymuje odbiór lub przetwarzanie
• płaska sieć: biuro, ewidencja i sterowanie instalacją bez segmentacji
• zdalne dostępy serwisantów instalacji bez MFA i bez rejestrowania sesji
• kopie zapasowe bez testów odtworzenia i bez kopii konfiguracji urządzeń sterujących
• ocena segmentów działalności „po szyldzie” — pominięcie, że część usług (np. wod-kan) leży w innym załączniku
• umowy z dostawcami systemów i serwisu bez klauzul bezpieczeństwa
• brak formalnych decyzji i szkoleń zarządu — dowodów, których organ szuka w pierwszej kolejności

Jak to wygląda w praktyce

Prowadzimy wdrożenie NIS2/KSC jako podmiot kluczowy (wytwórca leków z listy leków krytycznych) — czyli w środowisku, w którym systemy sterowania procesem i linie technologiczne są codziennością, tak jak w instalacjach przetwarzania odpadów. Z tego programu do branży odpadowej przenoszą się wprost trzy lekcje. Po pierwsze: środowiska sterowania traktuje się jako odrębny obszar analizy ryzyka — praktyczny zestaw to inwentaryzacja pasywna, podział na strefy, kontrolowany zdalny dostęp, kopie konfiguracji, monitoring, kontrola zmian i procedury ręczne.

Po drugie: segmentacja działa jak drzwi przeciwpożarowe — kliknięcie w złośliwy załącznik w biurze nie może otwierać drogi do sterowania instalacją. Po trzecie: parametry odtworzenia ustala właściciel procesu (ile godzin może stać ważenie, ewidencja, instalacja), a w kontroli bronią się dowody operacyjne: rejestr incydentów, raporty z testów odtworzeniowych, zaświadczenia ze szkoleń. Realistyczny horyzont pełnego wdrożenia to około 12 miesięcy — przy terminie 3.04.2027 r. warto ułożyć program już teraz.

Jesteśmy spółką komunalną (odpady + wod-kan) — jak ocenić kwalifikację?

Każdy segment osobno. Gospodarowanie odpadami jest w załączniku nr 2 (średnia lub duża firma → podmiot ważny), a woda pitna i ścieki w załączniku nr 1 (średnia → ważny, duża → kluczowy). Firma o działalności mieszanej podlega, jeśli choć jeden istotny segment mieści się w załącznikach — a kategoria może wynikać z segmentu „wyższego”. Progi licz z przedsiębiorstwami partnerskimi i powiązanymi.

Zatrudniamy 55 osób przy odbiorze i przetwarzaniu odpadów — czy podlegamy?

Czy podmiot ważny może spodziewać się kontroli, skoro nadzór jest „reaktywny”?

Materiały mają charakter edukacyjny i nie stanowią opinii prawnej ani gwarancji zgodności. Zakres obowiązków zależy od indywidualnej sytuacji organizacji, aktualnych przepisów, aktów wykonawczych i stanowisk właściwych organów. Przed podjęciem decyzji wymagającej interpretacji prawa należy przeprowadzić analizę odpowiednią dla danego podmiotu.